Limitazioni e limitazioni dei controlli di sovranità per il Regno dell'Arabia Saudita (Arabia Saudita)

In questa pagina vengono descritte le restrizioni, le limitazioni e altre configurazioni quando si utilizza il pacchetto di controlli Sovereign Controls per il Regno dell'Arabia Saudita (KSA).

Importante: il pacchetto di controlli dei controlli di sovranità per l'Arabia Saudita deve essere utilizzato solo I clienti di Assured Workloads il cui indirizzo di fatturazione, attività, residenza o domicilio: ha sede al di fuori dell'Arabia Saudita.

Panoramica

Per accedere alla console Google Cloud quando utilizzi Controlli di sovranità per il pacchetto di controlli Arabia Saudita, devi utilizzare uno dei seguenti URL:

• console.sa.cloud.google.com
• console.sa.cloud.google per utenti con identità federata

Per ulteriori informazioni, consulta Giurisdizionale pagina della console Google Cloud.

Il pacchetto di controlli dei controlli di sovranità per l'Arabia Saudita consente di controllo dell'accesso ai dati e funzionalità di residenza per i prodotti Google Cloud supportati. Alcuni di questi servizi funzioni sono limitate o limitate da Google al compatibile con i controlli di sovranità per l'Arabia Saudita. La maggior parte di queste restrizioni vengono applicate limitazioni quando viene creata una nuova cartella Assured Workloads per i controlli di sovranità per l'Arabia Saudita. Tuttavia, alcuni possono essere modificati in un secondo momento modifica in corso criteri dell'organizzazione. Inoltre, alcune restrizioni e limitazioni richiedono la responsabilità dell'utente. per l'aderenza.

È importante capire in che modo queste restrizioni modificano il comportamento di un un determinato servizio Google Cloud o influisce sull'accesso ai dati residente dei dati. Ad esempio, alcune funzioni o capacità potrebbero essere disattivate automaticamente per garantire che i dati le limitazioni di accesso e la residenza dei dati. Inoltre, se dell'impostazione dei criteri dell'organizzazione potrebbe avere conseguenze indesiderate di copiare i dati da una regione all'altra.

Servizi supportati

Se non diversamente indicato, gli utenti possono accedere a tutti i servizi supportati tramite la console Google Cloud.

Importante: servizi che interagiscono con i dati dei clienti nelle operazioni API e fornire endpoint API a livello di regione. Queste devono essere utilizzate al posto delle endpoint API globale in Controlli di sovranità per l'Arabia Saudita. Per i servizi con API operazioni non interagiscono con i dati dei clienti, l'uso di endpoint API globali consentito. Consulta Residenza dei dati per saperne di più sui Dati dei clienti e sui Dati di servizio.

I seguenti servizi sono compatibili con i controlli di sovranità per il Regno dell'Arabia Saudita:

Prodotto supportato	Endpoint API	Funzionalità o criteri dell'organizzazione interessati
Approvazione accesso	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: accessapproval.googleapis.com	Nessuno
Artifact Registry	Endpoint API regionali: artifactregistry.me-central2.googleapis.com Gli endpoint API Location non sono supportati. Gli endpoint API globali non sono supportati.	Nessuno
BigQuery ^[2]	Endpoint API regionali: bigquery.me-central2.googleapis.com bigqueryconnection.me-central2.googleapis.com bigqueryreservation.me-central2.googleapis.com bigquerystorage.me-central2.googleapis.com Gli endpoint API Location non sono supportati. Gli endpoint API globali non sono supportati.	Nessuno
Bigtable	Endpoint API regionali: bigtable.me-central2.googleapis.com Gli endpoint API Location non sono supportati. Gli endpoint API globali non sono supportati.	Nessuno
Cloud DNS	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: dns.googleapis.com	Nessuno
Cloud HSM	Endpoint API regionali: cloudkms.me-central2.rep.googleapis.com Gli endpoint API Location non sono supportati. Gli endpoint API globali non sono supportati.	Nessuno
Cloud Interconnect	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: networkconnectivity.googleapis.com	Funzionalità interessate
Cloud Key Management Service (Cloud KMS)	Endpoint API regionali: cloudkms.me-central2.rep.googleapis.com Gli endpoint API Location non sono supportati. Gli endpoint API globali non sono supportati.	Nessuno
Cloud Load Balancing	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: compute.googleapis.com	Nessuno
Cloud Logging	Endpoint API regionali: logging.me-central2.googleapis.com Gli endpoint API Location non sono supportati. Gli endpoint API globali non sono supportati.	Nessuno
Cloud Monitoring	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: monitoring.googleapis.com	Nessuno
Cloud NAT	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: networkconnectivity.googleapis.com	Nessuno
Cloud Router	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: networkconnectivity.googleapis.com	Nessuno
Cloud SQL	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: sqladmin.googleapis.com	Nessuno
Cloud Storage	Endpoint API regionali: storage.me-central2.googleapis.com Gli endpoint API Location non sono supportati. Gli endpoint API globali non sono supportati.	Nessuno
Cloud VPN	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: compute.googleapis.com	Nessuno
Compute Engine	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: compute.googleapis.com	Funzionalità interessate e i vincoli dei criteri dell'organizzazione
Dataflow	Endpoint API regionali: dataflow.me-central2.googleapis.com Gli endpoint API Location non sono supportati. Gli endpoint API globali non sono supportati.	Nessuno
Dataproc	Endpoint API regionali: dataproc.me-central2.googleapis.com Gli endpoint API Location non sono supportati. Gli endpoint API globali non sono supportati.	Nessuno
Contatti necessari	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: essentialcontacts.googleapis.com	Nessuno
GKE Hub	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: gkehub.googleapis.com	Nessuno
Console Google Cloud	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: N/A	Nessuno
Google Kubernetes Engine	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: container.googleapis.com containersecurity.googleapis.com	Funzionalità interessate e i vincoli dei criteri dell'organizzazione
Identity and Access Management (IAM)	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: iam.googleapis.com	Nessuno
Identity-Aware Proxy	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: iap.googleapis.com	Nessuno
Network Connectivity Center	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: networkconnectivity.googleapis.com	Nessuno
Servizio Criteri dell'organizzazione	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: orgpolicy.googleapis.com	Nessuno
Persistent Disk	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: compute.googleapis.com	Nessuno
Pub/Sub	Endpoint API regionali: pubsub.me-central2.googleapis.com Gli endpoint API Location non sono supportati. Gli endpoint API globali non sono supportati.	Nessuno
Resource Manager	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: cloudresourcemanager.googleapis.com	Nessuno
Impostazioni risorsa	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: resourcesettings.googleapis.com	Nessuno
Service Directory	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: servicedirectory.googleapis.com	Nessuno
Spanner	Endpoint API regionali: spanner.me-central2.googleapis.com Gli endpoint API Location non sono supportati. Gli endpoint API globali non sono supportati.	Nessuno
Virtual Private Cloud	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: vpcaccess.googleapis.com	Nessuno
Controlli di servizio VPC	Gli endpoint API regionali non sono supportati. Gli endpoint API Location non sono supportati. Endpoint API globali: accesscontextmanager.googleapis.com	Nessuno

Criteri dell'organizzazione

Questa sezione descrive in che modo l'organizzazione predefinita influisce su ogni servizio dei vincoli dei criteri quando vengono creati cartelle o progetti Controlli di sovranità per l'Arabia Saudita. Altri vincoli applicabili, anche se non impostati predefinita: può fornire una "difesa in profondità" aggiuntiva per proteggere ulteriormente le risorse Google Cloud della tua organizzazione.

Importante: consigliamo vivamente di non modificare i valori dei campi obbligatori dei criteri dell'organizzazione elencati nelle sezioni seguenti. Questa operazione potrebbe compromettere la residenza dei dati. Una volta apportata la modifica, gli effetti di tale che sono difficili o impossibili da annullare. Assicurati di aver compreso il ramificazioni della modifica del valore di un vincolo del criterio dell'organizzazione prima procedere.

Inoltre, assicurati che eventuali meccanismi automatici per gestire i criteri dell'organizzazione vengono aggiornati per impedire questi non vengano modificati involontariamente.

Vincoli dei criteri dell'organizzazione a livello di cloud

Le seguenti vincoli dei criteri dell'organizzazione si applicano a qualsiasi servizio Google Cloud applicabile.

Vincolo dei criteri dell'organizzazione	Descrizione
gcp.resourceLocations	Impostato su in:us-locations come allowedValues voce dell'elenco. Questo valore limita la creazione di nuove risorse Solo gruppo di valori me-central2. Se impostato, nessuna risorsa può essere creati in altre regioni, regioni multiple o località al di fuori di KSA. Consulta le Gruppi di valori dei criteri dell'organizzazione documentazione per ulteriori informazioni. La modifica di questo valore rendendolo meno restrittivo potrebbe compromettere il rendimento la residenza dei dati consentendo la creazione o l'archiviazione di dati al di fuori dell'Arabia Saudita confine dati.
gcp.restrictServiceUsage	Imposta l'opzione su "Consenti tutti i servizi supportati". Determina quali servizi possono essere abilitati e utilizzati. Per ulteriori informazioni, vedi Limita l'utilizzo delle risorse per i carichi di lavoro.

Vincoli dei criteri dell'organizzazione di Compute Engine

Vincolo dei criteri dell'organizzazione	Descrizione
compute.disableInstanceDataAccessApis	Imposta su True. Disattiva a livello globale instances.getSerialPortOutput() e API instances.getScreenshot(). Se abiliti questo criterio dell'organizzazione, non potrai: generare credenziali sulle VM Windows Server. Se devi gestire un nome utente e una password su una VM Windows, seguenti: Abilitare SSH per le VM Windows. Esegui questo comando per cambiare la password della VM: gcloud compute ssh VM_NAME --command "net user USERNAME PASSWORD" Sostituisci quanto segue: VM_NAME: il nome della VM per cui stai impostando la password . USERNAME: il nome utente dell'utente che stai impostando la password. PASSWORD: la nuova password.
compute.enableComplianceMemoryProtection	Imposta su True. Disattiva alcune funzionalità di diagnostica interna per fornire ulteriori della memoria in caso di errore dell'infrastruttura. La modifica di questo valore potrebbe influire sulla residenza dei dati nel carico di lavoro. noi consigliamo di mantenere il valore impostato.

Vincoli dei criteri dell'organizzazione di Google Kubernetes Engine

Vincolo dei criteri dell'organizzazione	Descrizione
container.restrictNoncompliantDiagnosticDataAccess	Imposta su True. Utilizzato per disabilitare l'analisi aggregata dei problemi del kernel, necessaria per mantengono il controllo di sovranità di un carico di lavoro. La modifica di questo valore potrebbe influire sulla sovranità dei dati nel carico di lavoro. noi consigliamo di mantenere il valore impostato.

Funzionalità interessate

Questa sezione elenca in che modo le funzionalità o le capacità di ogni servizio sono interessate Controlli di sovranità per l'Arabia Saudita, inclusi i requisiti per gli utenti quando utilizzano una funzionalità.

Funzionalità di Compute Engine

Funzionalità	Descrizione
Console Google Cloud	Le seguenti funzionalità di Compute Engine non sono disponibili nel nella console Google Cloud. Utilizza l'API o Google Cloud CLI, se disponibile: Controlli di integrità Gruppi di endpoint di rete L'SSH basato su browser è disabilitato
instances.getSerialPortOutput()	Questa API è disabilitata. non potrai ottenere un output della porta seriale dell'istanza specificata utilizzando questa API. Cambia l'organizzazione compute.disableInstanceDataAccessApis il valore del vincolo del criterio su False per abilitare questa API. Puoi anche abilitare e utilizzare la porta seriale interattiva.
instances.getScreenshot()	Questa API è disabilitata. non potrai acquisire uno screenshot l'istanza specificata utilizzando questa API. Cambia l'organizzazione compute.disableInstanceDataAccessApis il valore del vincolo del criterio su False per abilitare questa API. Puoi anche abilitare e utilizzare la porta seriale interattiva.

Funzionalità di Cloud Interconnect

Funzionalità	Descrizione
VPN ad alta disponibilità	Devi abilitare la funzionalità VPN ad alta disponibilità quando utilizzi Cloud Interconnect con Cloud VPN. Inoltre, devi rispettare ai requisiti di crittografia e regionalizzazione elencati in questa sezione.

Funzionalità di Cloud Storage

Funzionalità	Descrizione
Console Google Cloud	È tua responsabilità utilizzare Giurisdizionale Console Google Cloud per i controlli di sovranità per l'Arabia Saudita. Il giurisdizionale impedisce il caricamento e il download di oggetti Cloud Storage. A caricare e scaricare oggetti Cloud Storage, vedi quanto segue Riga Endpoint API conformi.
Endpoint API conformi	È tua responsabilità usare uno degli endpoint di località con di archiviazione ideale in Cloud Storage. Consulta Località di Cloud Storage per ulteriori informazioni.

Funzionalità di Cloud VPN

Funzionalità	Descrizione
Console Google Cloud	Le funzionalità di Cloud VPN non sono disponibili nella console Google Cloud. Utilizza le funzionalità di l'API o Google Cloud CLI.

Note a piè di pagina

1. BigQuery è supportato, ma non viene attivato automaticamente quando crei una nuova Cartella Assured Workloads a causa di un processo di configurazione interno. Questa procedura normalmente termina in dieci minuti, ma in alcune circostanze può richiedere molto più tempo. Per verificare se processo completato. Per abilitare BigQuery, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Assured Workloads.

   Vai ad Assured Workloads

2. Seleziona la nuova cartella Assured Workloads dall'elenco.
3. Nella pagina Dettagli cartella della sezione Servizi consentiti, fai clic su Rivedi gli aggiornamenti disponibili.
4. Nel riquadro Servizi consentiti, esamina i servizi da aggiungere al Limitazione dell'utilizzo delle risorse criterio dell'organizzazione per la cartella. Se i servizi BigQuery sono elencati, fai clic su Consenti ai servizi di aggiungerli.
   
   Se i servizi BigQuery non sono elencati, attendi il completamento del processo interno. Se servizi non vengono elencati entro 12 ore dalla creazione della cartella, contatta Assistenza clienti Google Cloud.

Al termine del processo di abilitazione, puoi utilizzare BigQuery Cartella Assured Workloads.